„Zainstaluj AnyDesk, pomogę”: kiedy pomoc zdalna przejmuje Twoje pieniądze

Telefon zaczyna się od pomocy. „Ktoś właśnie próbuje wypłacić pieniądze”, „na pana nazwisko jest portfel inwestycyjny” albo „komputer wysyła podejrzany ruch”. Rozmówca zna nazwę banku, mówi spokojnie i proponuje rozwiązanie. Trzeba tylko zainstalować AnyDesk, TeamViewer albo inną aplikację do zdalnej obsługi.

Sama aplikacja nie jest wirusem. Takich narzędzi legalnie używają działy wsparcia i administratorzy. Zagrożenie powstaje wtedy, gdy nieznajoma osoba przekonuje nas do oddania jej ekranu, myszy i klawiatury — a potem prowadzi prosto do bankowości.

Co rozmówca dostaje po połączeniu

CERT Polska opisuje scenariusze, w których przestępcy podszywają się m.in. pod pracowników inwestycji lub giełd i zachęcają do instalacji AnyDesk. Następnie proszą ofiarę o zalogowanie do banku. Przy aktywnym dostępie zdalnym sprawca może widzieć ekran i wykonywać działania na komputerze, a CERT wskazuje również ryzyko przelewów oraz zaciągnięcia szybkiej pożyczki na dane ofiary.

Nie musi samodzielnie znać hasła. Może poprosić, aby właściciel komputera je wpisał, a potem zasłonić ekran, przesunąć okno albo opisać autoryzację jako „anulowanie” obcej transakcji. To, co użytkownik zatwierdza w aplikacji banku, może być w rzeczywistości przelewem, dodaniem odbiorcy lub inną zmianą.

Wyświetlony numer telefonu także nie dowodzi, kto dzwoni. CERT przypomina, że nadpis numeru może zostać sfałszowany. Dlatego rozłączenie i samodzielne wybranie numeru z oficjalnej strony banku jest bezpieczniejsze niż kontynuowanie rozmowy lub oddzwanianie na pozycję z historii połączeń.

Zdanie, po którym kończysz rozmowę

Ustal prostą granicę: nie instaluję narzędzia zdalnego dostępu na polecenie osoby, która sama do mnie zadzwoniła. Nie ma znaczenia, czy na ekranie pojawia się nazwa banku, Policji, Microsoftu, działu IT czy giełdy.

Prawdziwy pracownik banku nie potrzebuje przejmować prywatnego komputera, aby „zabezpieczyć konto”. Firmowy helpdesk może legalnie korzystać ze zdalnej pomocy, ale powinien robić to przez znany portal, po zgłoszeniu zainicjowanym przez pracownika, z widocznym zakresem i możliwością zakończenia sesji. Niespodziewany telefon zmienia tę sytuację całkowicie.

Możesz powiedzieć: „Rozłączam się i zadzwonię do organizacji przez oficjalny numer”. Uczciwy konsultant to zaakceptuje. Oszust zwykle zacznie straszyć utratą pieniędzy, konsekwencjami podatkowymi albo tajemnicą prowadzonej akcji. Taka presja jest dodatkowym powodem, by przerwać kontakt.

Jeśli połączenie zdalne już trwa

Jeżeli coś budzi wątpliwość:

1. Rozłącz komputer z internetem — wyłącz Wi‑Fi lub odłącz kabel.
2. Zakończ aplikację zdalnego pulpitu i wyłącz urządzenie, jeśli nie masz pewności, że sesja ustała.
3. Z innego, zaufanego urządzenia zadzwoń do banku przez oficjalny numer.
4. Poinformuj bank, że osoba trzecia widziała lub kontrolowała ekran podczas logowania. Poproś o zabezpieczenie rachunku i sprawdzenie przelewów, odbiorców, limitów, pożyczek oraz aktywnych sesji.
5. Nie wracaj do rozmowy z rzekomym konsultantem i nie przyjmuj od niego „pomocy w naprawie”.

Samo zamknięcie okna może nie wystarczyć, jeśli aplikacja została skonfigurowana do stałego dostępu albo zainstalowano dodatkowy program. Po zabezpieczeniu pieniędzy urządzenie powinien sprawdzić zaufany specjalista lub firmowy IT. Do tego czasu nie używaj go do poczty, banku ani zmiany haseł.

Co sprawdzić po incydencie

Zachowaj numer, godzinę rozmowy, nazwę aplikacji, przekazane kody i zrzuty, o ile można je bezpiecznie wykonać. Spisz kolejność zdarzeń, zanim szczegóły się zatrą. Z innego urządzenia zmień hasła do poczty i bankowości, zakończ obce sesje i włącz drugi składnik tam, gdzie go nie było.

Jeżeli doszło do transferu lub próby pożyczki, zgłoś sprawę Policji. Incydent i użyte linki można przekazać przez incydent.cert.pl. W firmie natychmiast powiadom helpdesk lub zespół bezpieczeństwa, nawet jeśli nic nie zniknęło z konta — osoba zdalna mogła zobaczyć dokumenty, pocztę i dane klientów.

Procedura dla rodziny i firmy

Zapisz oficjalny numer banku w telefonie bliskiej osoby i pokaż, gdzie znajduje się przycisk rozłączenia internetu. W firmie ustal, z jakich narzędzi korzysta helpdesk, jak wygląda prawdziwa prośba o sesję i kto ją inicjuje. Pracownik powinien móc odmówić bez obawy, że „utrudnia pracę IT”.

To jest wniosek Breachroad: bezpieczeństwo zdalnej pomocy opiera się przede wszystkim na inicjacji i kontekście. Ta sama aplikacja może być bezpiecznym narzędziem w zgłoszeniu, które sam otworzyłeś, albo drogą do kradzieży po niespodziewanym telefonie.

Fakty o schemacie AnyDesk, spoofingu numeru i zaleceniu szybkiego kontaktu z bankiem pochodzą z CERT Polska. Szczegółowa kolejność odłączenia, zabezpieczenia rachunku i analizy urządzenia jest naszym planem reakcji. Uzupełnia go poradnik o telefonach od fałszywego pracownika banku.

Szkolenia cyberbezpieczeństwa i symulacje socjotechniczne pomagają pracownikom przećwiczyć moment odmowy, a helpdeskowi — bezpieczny sposób prowadzenia prawdziwej pomocy zdalnej.